Jak używać
- Wybierz liczbę losowych bajtów w każdym tokenie. 32 bajty (256 bitów) to bezpieczna wartość domyślna dla sekretów.
- Wybierz kodowanie odpowiednie do miejsca użycia tokena i opcjonalnie dodaj prefiks, np. „myapp_live_”.
- Wybierz liczbę potrzebnych tokenów, a następnie skopiuj jeden z nich lub użyj opcji „Kopiuj wszystkie”. Wybierz „Generuj ponownie”, aby utworzyć nowy zestaw.
Jak to działa
Tokeny powstają z losowych bajtów generowanych przez crypto.getRandomValues — bezpieczny kryptograficznie generator wbudowany w przeglądarkę i system operacyjny. Math.random nigdy nie jest używane.
W przypadku formatów hex, Base64 i Base64URL narzędzie pobiera dokładnie wybraną liczbę bajtów i je koduje. Token o długości 32 bajtów ma więc zawsze 256 bitów entropii: 64 znaki hex, 44 znaki Base64 (w tym jeden znak = dopełnienia) lub 43 znaki Base64URL. Base64URL zastępuje + i / znakami - i _ oraz pomija dopełnienie, dzięki czemu można używać tego formatu w URL-ach, nazwach plików i nagłówkach HTTP bez kodowania.
Tokeny alfanumeryczne zawierają wyłącznie znaki A–Z, a–z i 0–9, co pozwala uniknąć znaków specjalnie traktowanych przez niektóre systemy. Każdy znak odpowiada około 5,95 bitom, dlatego narzędzie losuje tyle znaków, by osiągnąć co najmniej wybraną liczbę bitów (43 znaki dla 256 bitów). Znaki są wybierane metodą odrzucania, dzięki czemu wszystkie 62 są równie prawdopodobne.
Prefiks jest dodawany jako zwykły tekst i nie zwiększa entropii. Prefiksy takie jak „sk_live_” ułatwiają rozpoznawanie wyciekłych kluczy i wyszukiwanie ich za pomocą skanerów sekretów. Przechowuj sekrety w menedżerze haseł lub magazynie sekretów, a nie w kodzie źródłowym.
Przykłady
Sekret do podpisywania webhooków
32 bajty w formacie hex dają 64-znakowy sekret o entropii 256 bitów. Możesz wkleić go do konfiguracji zarówno nadawcy, jak i odbiorcy podpisów HMAC-SHA-256.
Klucz API z rozpoznawalnym prefiksem
Wybierz 24 bajty, format alfanumeryczny i prefiks „acme_live_”. Każdy klucz będzie mieć postać acme_live_ i 33 liter oraz cyfr, zapewni co najmniej 192 bity entropii i będzie łatwy do rozpoznania w logach lub przez skaner sekretów.
Token resetowania bezpieczny dla URL-i
16 bajtów w formacie Base64URL daje 22-znakowy token (128 bitów), którego można bezpośrednio użyć w linku, np. /reset?token=…, bez kodowania procentowego.
Często zadawane pytania
Ile bajtów powinien mieć sekret?
128 bitów (16 bajtów) wystarczy, by uniemożliwić odgadnięcie tokenów takich jak identyfikatory sesji. W przypadku długo przechowywanych sekretów, na przykład kluczy do podpisywania, powszechnie zaleca się 256 bitów (32 bajty) — tyle samo, ile wynosi rozmiar wyniku SHA-256.
Które kodowanie wybrać?
Dla tej samej liczby bajtów entropia jest taka sama — różni się tylko forma tekstowa. Wybierz hex, aby zapewnić maksymalną zgodność, Base64URL w przypadku krótkich tokenów w URL-ach i nagłówkach, a format alfanumeryczny, gdy system odrzuca znaki interpunkcyjne.
Czy tokeny są przechowywane lub rejestrowane?
Nie. Są generowane w tej karcie przeglądarki i znikają po opuszczeniu strony. Nie są wysyłane na serwer ani uwzględniane w analityce.
Czy mogę używać ich jako haseł?
Tak, są wystarczająco losowe, ale witryny często wymagają użycia różnych typów znaków. Generator haseł pozwala bezpośrednio określić te zasady.
Prywatność
Tokeny są generowane w przeglądarce za pomocą crypto.getRandomValues. Nie są przesyłane, przechowywane, rejestrowane ani wysyłane do narzędzi analitycznych; zapisywane jest tylko anonimowe zdarzenie informujące o użyciu narzędzia.